el problema de seguridad en los diarios nacionales
http://www.lanacion.com.ar/tecnologia/nota.asp?nota_id=1017063 ME PARECIO BUENA LA NOTA , HAY GENTE QUE LE INTERESA EL sl EN LOS DIARIOS saludos bubi Bernardo Diego González www.opensa.com.ar
2008/6/6 bubi <[email protected]>:
http://www.lanacion.com.ar/tecnologia/nota.asp?nota_id=1017063 ME PARECIO BUENA LA NOTA , HAY GENTE QUE LE INTERESA EL sl EN LOS DIARIOS
sin duda, muy buena la nota
saludos bubi Bernardo Diego González www.opensa.com.ar
_______________________________________________ Solar-general mailing list [email protected] https://lists.ourproject.org/cgi-bin/mailman/listinfo/solar-general
-- Diego Saravia [email protected] NO FUNCIONA->[email protected]
On Fri, Jun 6, 2008 at 2:41 PM, bubi <[email protected]> wrote:
http://www.lanacion.com.ar/tecnologia/nota.asp?nota_id=1017063 ME PARECIO BUENA LA NOTA , HAY GENTE QUE LE INTERESA EL sl EN LOS DIARIOS saludos bubi Bernardo Diego González www.opensa.com.ar
No me pareció tan buena en un aspecto (está muy bien explicado todo el resto): lo presenta como un problema muy grave de seguridad cuando en realidad no hubo ningún incidente, el problema solo fue potencial. Bah, quizá hubo algún caso en que se uso este error para vulnerar algún servidor, no me llegó ninguno, tienen info al respecto? Comentario al margen: en la Municipalidad de Berazategui tenemos esa versión de Deban con el fallo descubierto, pero por mera casualidad, por comodidad mía, todas las claves las había generado desde un UTUTO XS. -- Pablo Manuel Rizzo ---------------------------------------------------------------------- Aunque supiera que el mundo se acabará mañana, Igual plantaría mi manzano. -- Martin Luther King -- ----------------------------------------------------------------------
El Vie 06 Jun 2008, Pablo Manuel Rizzo escribió:
On Fri, Jun 6, 2008 at 2:41 PM, bubi <[email protected]> wrote:
http://www.lanacion.com.ar/tecnologia/nota.asp?nota_id=1017063 ME PARECIO BUENA LA NOTA , HAY GENTE QUE LE INTERESA EL sl EN LOS DIARIOS saludos bubi Bernardo Diego González www.opensa.com.ar
No me pareció tan buena en un aspecto (está muy bien explicado todo el resto): lo presenta como un problema muy grave de seguridad cuando en realidad no hubo ningún incidente, el problema solo fue potencial. Bah, quizá hubo algún caso en que se uso este error para vulnerar algún servidor, no me llegó ninguno, tienen info al respecto?
Comentario al margen: en la Municipalidad de Berazategui tenemos esa versión de Deban con el fallo descubierto, pero por mera casualidad, por comodidad mía, todas las claves las había generado desde un UTUTO XS.
las claves en /etc/ssh/ssh_hosts_dsa_key tambien las hacías desde afuera?? -- Dock Sud BBS http://www.docksud.com.ar telnet://bbs.docksud.com.ar
No me pareció tan buena en un aspecto (está muy bien explicado todo el resto): lo presenta como un problema muy grave de seguridad cuando en realidad no hubo ningún incidente, el problema solo fue potencial.
que?? el problema es gravisimo, fue gravisimo y seguira siendolo mientras no se cambien todas las claves emitidas en ese momento, todo sistema con claves generadas en ese momento estuvo y esta comprometido, nada de lo que se hizo fue seguro, todo lo comunicado entre partes o escrito en esos sistemas debe ser dado por violado y conocido en forma publica, todo acuerdo secreto debe ser dado de baja
Bah, quizá hubo algún caso en que se uso este error para vulnerar algún servidor, no me llegó ninguno, tienen info al respecto?
ja, y como saberlo, mira si voy a andar contando a mis adversarios enemigos todo lo que ahora se de ellos. todo lo que cambie, etc.
Comentario al margen: en la Municipalidad de Berazategui tenemos esa versión de Deban con el fallo descubierto, pero por mera casualidad, por comodidad mía, todas las claves las había generado desde un UTUTO XS.
ututo salvo a Berazategui, buena nota para publicar -- Diego Saravia [email protected] NO FUNCIONA->[email protected]
2008/6/6 Diego Saravia <[email protected]>:
No me pareció tan buena en un aspecto (está muy bien explicado todo el resto): lo presenta como un problema muy grave de seguridad cuando en realidad no hubo ningún incidente, el problema solo fue potencial.
que?? el problema es gravisimo, fue gravisimo y seguira siendolo mientras no se cambien todas las claves emitidas en ese momento, todo sistema con claves generadas en ese momento estuvo y esta comprometido, nada de lo que se hizo fue seguro, todo lo comunicado entre partes o escrito en esos sistemas debe ser dado por violado y conocido en forma publica, todo acuerdo secreto debe ser dado de baja
Bah, quizá hubo algún caso en que se uso este error para vulnerar algún servidor, no me llegó ninguno, tienen info al respecto?
ja, y como saberlo, mira si voy a andar contando a mis adversarios enemigos todo lo que ahora se de ellos. todo lo que cambie, etc.
Bueno, es que siempre sucede así, siempre se conoce primero algún caso, se investiga, y lugeo se descubre cual era la vulnerabilidad explotada por el atacante. Pero creo que fue así esta vez, o si? No lo se, desconozco este detalle importante.
Comentario al margen: en la Municipalidad de Berazategui tenemos esa versión de Deban con el fallo descubierto, pero por mera casualidad, por comodidad mía, todas las claves las había generado desde un UTUTO XS.
ututo salvo a Berazategui, buena nota para publicar
Bueno... no es realmente una "virtud" de UTUTO... En respuesta a Fernando: no, pero no habilitamos ssh desde internet, y en la red interna tenemos problemas de seguridad mucho mas graves así que eso pasa a ser absolutamente secundario (tenemos varios servidores windows, por ejemplo) En cambio openvpn sí está habilitado y se usa desde internet. -- Pablo Manuel Rizzo ---------------------------------------------------------------------- Aunque supiera que el mundo se acabará mañana, Igual plantaría mi manzano. -- Martin Luther King -- ----------------------------------------------------------------------
2008/6/6 Pablo Manuel Rizzo <[email protected]>:
Bueno, es que siempre sucede así, siempre se conoce primero algún caso, se investiga, y lugeo se descubre cual era la vulnerabilidad
Ok, no siempre... pero muy frecuentemente -- Pablo Manuel Rizzo ---------------------------------------------------------------------- Aunque supiera que el mundo se acabará mañana, Igual plantaría mi manzano. -- Martin Luther King -- ----------------------------------------------------------------------
El Vie 06 Jun 2008, Pablo Manuel Rizzo escribió:
ututo salvo a Berazategui, buena nota para publicar
Bueno... no es realmente una "virtud" de UTUTO...
En respuesta a Fernando: no, pero no habilitamos ssh desde internet, y en la red interna tenemos problemas de seguridad mucho mas graves así que eso pasa a ser absolutamente secundario (tenemos varios servidores windows, por ejemplo) En cambio openvpn sí está habilitado y se usa desde internet.
Entonces (salvo que hayas regenerado las claves nuevamente), la municipalidad de Berazategui sigue comprometida. Cuales claves generaste desde ututo?! Deberías solucionarlo de forma URGENTE porque cualquiera que tenga acceso a esa red tiene posibilidad de aprovecharse del bug. =( Tenés varios agujeros: - openvpn - ssh (desde adentro) - https ?? - sendmail?? Te recomiendo leer el rollover: http://www.debian.org/security/key-rollover/ Un beso en las nalgas. -- Dock Sud BBS http://www.docksud.com.ar telnet://bbs.docksud.com.ar
On Fri, Jun 6, 2008 at 21:12, Fernando Toledo <[email protected]> wrote:
Entonces (salvo que hayas regenerado las claves nuevamente), la municipalidad de Berazategui sigue comprometida. Cuales claves generaste desde ututo?! Deberías solucionarlo de forma URGENTE porque cualquiera que tenga acceso a esa red tiene posibilidad de aprovecharse del bug. =(
Tenés varios agujeros: - openvpn - ssh (desde adentro) - https ?? - sendmail??
Te recomiendo leer el rollover: http://www.debian.org/security/key-rollover/
Un beso en las nalgas.
ja! Si, esos servicios se reinstalaron, por una suma de motivos, igualmente nunca los considero seguros, porque se usan mayormente sin encriptación. Qué opinan al respecto? Me entró la duda... lo peor que podría pasar en el caso de web e email es que la encriptación resulte inutil y los datos viajen como si se accediera a esos protocolos sin encriptar, verdad? que de cualquier modo es la manera en que habitualmente se usan... -- Pablo Manuel Rizzo ---------------------------------------------------------------------- Aunque supiera que el mundo se acabará mañana, Igual plantaría mi manzano. -- Martin Luther King -- ----------------------------------------------------------------------
El Vie 06 Jun 2008, Pablo Manuel Rizzo escribió:
On Fri, Jun 6, 2008 at 21:12, Fernando Toledo <[email protected]> wrote:
Entonces (salvo que hayas regenerado las claves nuevamente), la municipalidad de Berazategui sigue comprometida. Cuales claves generaste desde ututo?! Deberías solucionarlo de forma URGENTE porque cualquiera que tenga acceso a esa red tiene posibilidad de aprovecharse del bug. =(
Tenés varios agujeros: - openvpn - ssh (desde adentro) - https ?? - sendmail??
Te recomiendo leer el rollover: http://www.debian.org/security/key-rollover/
Un beso en las nalgas.
ja!
Si, esos servicios se reinstalaron, por una suma de motivos, igualmente nunca los considero seguros, porque se usan mayormente sin encriptación. Qué opinan al respecto? Me entró la duda... lo peor que podría pasar en el caso de web e email es que la encriptación resulte inutil y los datos viajen como si se accediera a esos protocolos sin encriptar, verdad? que de cualquier modo es la manera en que habitualmente se usan...
Es simple, sino usas encriptacion en pop3/smtp cualquier puede ver tu conversacion con tu servidor en las transferencias de correo. Yo uso pop3ssl y el postfix con tls tambien y me aseguro de que cuando leo los mails por cualquier lado (wifi con la note) al menos se encripten. Tambien uso openvpn para conectarme a mi casa Obviamente depende de el escenario en que te manejes -- Dock Sud BBS http://www.docksud.com.ar telnet://bbs.docksud.com.ar
2008/6/6 Fernando Toledo <[email protected]>:
Si, esos servicios se reinstalaron, por una suma de motivos, igualmente nunca los considero seguros, porque se usan mayormente sin encriptación. Qué opinan al respecto? Me entró la duda... lo peor que podría pasar en el caso de web e email es que la encriptación resulte inutil y los datos viajen como si se accediera a esos protocolos sin encriptar, verdad? que de cualquier modo es la manera en que habitualmente se usan...
Es simple, sino usas encriptacion en pop3/smtp cualquier puede ver tu conversacion con tu servidor en las transferencias de correo.
Si, eso está claro, pero teniendo en cuenta que, aunque estaba habilitada, no usabamos realmente la encriptación para estos servicios antes que se descubriera el fallo en Debian, podemos decir que nuestra situación no hubiera empeorado en lo más mínimo si hubiesemos mantenido las claves de baja calidad, verdad? Seguiría siendo igual de inseguro que antes, supongo... -- Pablo Manuel Rizzo ---------------------------------------------------------------------- Aunque supiera que el mundo se acabará mañana, Igual plantaría mi manzano. -- Martin Luther King -- ----------------------------------------------------------------------
participants (4)
-
bubi -
Diego Saravia -
Fernando Toledo -
Pablo Manuel Rizzo